ENS para empresas privadas: la formación y la concienciación que exigen mp.per.3 y mp.per.4

Pongamos una empresa de 35 personas que mantiene la aplicación de padrón de varios ayuntamientos. Llega la auditoría del Esquema Nacional de Seguridad y los papeles están en orden: hay plan de formación, registro de asistencia y política firmada. Entonces el auditor se acerca a alguien de administración y le pregunta qué haría con una factura de un proveedor habitual que pide cambiar el número de cuenta. «Se la reenvío a mi jefe.» El procedimiento de la empresa dice que esos correos van al buzón de seguridad. Es un hallazgo, y con todos los documentos en regla.

El ENS funciona así. Si tu empresa da servicio a la Administración y el pliego te pide la conformidad, tienes que concienciar y formar a tu plantilla, sea cual sea la categoría de tu sistema. Y luego hay que demostrar que esa formación ha servido para algo.

¿Te aplica a ti?

El Real Decreto 311/2022, que regula el ENS, nació para el sector público. Su artículo 2.3 lo extiende a las empresas privadas que, por contrato, prestan servicios o dan soluciones a la Administración para que esta ejerza sus competencias. Mantener la gestión tributaria de un ayuntamiento o alojar la sede electrónica de una consejería son casos claros.

La Administración está obligada a pedirlo en sus pliegos y a trasladarlo a la cadena de suministro cuando su análisis de riesgos lo justifique. Por eso puede llegarte aunque no firmes con ningún organismo: basta con ser subcontratista del que sí firma.

Dos cosas que suelen pillar por sorpresa. La política de seguridad la tiene que aprobar la dirección de la empresa, y la categoría de tu sistema no la eliges tú: según las preguntas frecuentes del CCN, la valoración que la determina corresponde a la entidad contratante.

La categoría cambia quién lo revisa, no lo que hay que hacer

Hay tres categorías. Un sistema es de categoría alta si cualquiera de sus dimensiones de seguridad llega a nivel alto; si la más exigente se queda en medio, es media, y si ninguna pasa de bajo, básica.

En la básica basta con una autoevaluación, y la puede hacer el mismo personal que administra el sistema. Eso sí, tiene que quedar por escrito, medida por medida, con las evidencias que la sostienen. En la media y la alta hace falta una auditoría de certificación con una entidad acreditada por ENAC. En las tres hay que repetirla al menos cada dos años y publicar la declaración o el certificado en la web de la empresa.

Para la plantilla, lo que pide el anexo II casi no varía:

Medida	Básica	Media	Alta
mp.per.1 Caracterización del puesto de trabajo	No aplica	Aplica	Aplica
mp.per.2 Deberes y obligaciones	Aplica	Aplica + R1	Aplica + R1
mp.per.3 Concienciación	Aplica	Aplica	Aplica
mp.per.4 Formación	Aplica	Aplica	Aplica

El refuerzo R1 añade una cosa en media y alta: cada usuario tiene que confirmar de forma expresa que conoce y acepta las normas de seguridad. Así que también hay que guardar ese acuse. Y todo vale igual para el personal externo que trabaja en el sistema, porque el artículo 15 habla del personal «propio o ajeno».

Concienciar: a todos y cada cierto tiempo

La medida mp.per.3 pide recordar periódicamente a toda la plantilla tres cosas: las normas de uso de los equipos y las técnicas de ingeniería social más habituales, cómo reconocer un incidente o un comportamiento sospechoso, y cómo avisar de él.

Traducido a un día normal de oficina, la ingeniería social es el correo que se hace pasar por un proveedor o por el banco, o el SMS y la llamada que buscan lo mismo. El aviso tiene que tener un camino claro, y la norma añade un detalle que muchas empresas pasan por alto: hay que informar de los incidentes «sean reales o falsas alarmas». Quien reporta un correo que luego resulta inofensivo está haciendo lo correcto, y conviene que lo sepa.

¿Cada cuánto? El ENS dice «regularmente» y no pone cifra. La fija tu política de seguridad, y después hay que cumplirla.

Formar: según el puesto, y comprobando que sirve

La medida mp.per.4 va un paso más allá. Ya no es lo mismo para todos, sino lo que cada persona necesita para su trabajo. El administrador de sistemas necesita formación en configuración segura y en cómo reaccionar ante un incidente. La parte de gestión de la información, en cambio, toca a casi todo el mundo: guardar, enviar, copiar y destruir documentos lo hace cualquiera que trabaje con expedientes.

Y termina con la frase que más pesa en la auditoría: «se evaluará la eficacia de las acciones formativas llevadas a cabo». Que la gente haya asistido no demuestra nada. Sí lo demuestran las notas de un cuestionario o, mejor, una simulación de phishing antes de formar y otra después. La norma no impone el método, pero sin alguna medida no hay forma de cumplir esa frase.

Lo que te pedirá el auditor

El anexo III dice que la auditoría se apoya en evidencias, y entre ellas incluye el «examen del personal afectado»: lo que sabe y lo que hace. Por eso una pregunta como la de la factura del principio es una evidencia más, igual que un documento.

Si tu empresa tiene encima más normas, en ¿Es obligatoria la formación en ciberseguridad? comparamos el ENS con el RGPD, NIS2, DORA e ISO 27001.

Cómo lo resolvemos en Cogniria

En Cogniria formamos a tu plantilla con un catálogo de cursos de ciberseguridad, entre ellos los de phishing e ingeniería social, y lanzamos simulaciones de phishing gestionadas que sirven para medir la eficacia que pide mp.per.4. La plataforma guarda el registro de cada persona y curso, con fecha y nota, avisa a quien va con retraso y lo exporta en PDF o CSV para tu autoevaluación o para el auditor. Si quieres ver cómo queda ese registro con datos de ejemplo, escríbenos y te lo enseñamos.

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, texto consolidado: arts. 2.3, 15, 31, 38 y 40 y anexos I, II (mp.per.1 a mp.per.4) y III. https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191
• Centro Criptológico Nacional, preguntas frecuentes sobre el ENS. https://ens.ccn.cni.es/es/que-es-el-ens/faq
• Centro Criptológico Nacional, normativa del ENS e instrucciones técnicas de seguridad. https://ens.ccn.cni.es/es/normativa